#news Под критическую уязвимость в Jenkins на RCE и чтение произвольных файлов опубликован ворох проверок концепции. Разработчик выпустил патчи под девять уязвимостей 24 января и опубликовал подробные сценарии возможных атак и путей эксплуатации. И пару дней спустя подоспели рабочие PoС под критическую CVE-2024-23897 с багом в парсере args4j.

Злоумышленники уже активно сканируют сеть на предмет уязвимых серверов и стучат по ним сценариями атак с минимальными изменениями или просто с эксплойтом из коробки. Исследователи также сообщают, что по их Jenkins-приманкам уже идут атаки, так что активный эксплойт разворачивается полным ходом. Иными словами, россыпь проверок концепции на Гитхабе шлют нам недвусмысленный сигнал – пришло время накатывать патчи.

@tomhunter

#news Возвращение, которого никто не хотел, но некоторые ждали: всплыл новый вариант ZLoader. Спустя почти два года после того как Microsoft отжала инфраструктуру малвари в апреле 2022-го. Согласно исследователям, новая версия в разработке с сентября прошлого года.

Написанный на основе утёкшего кода банковского трояна Zeus ZLoader был активен с 2015-го года, с 2019-го под именем «Silent Night». Увы, спустя два года после удара по ботнету ночь перестала быть тихой. В свежую версию малвари завезли новые методы обфускации, обновлённый алгоритм генерации доменных имён, RSA-шифрование и поддержку 64-битных систем. В общем, возвращение ZLoader предвещает череду рансомварь-атак. Подробнее о новой версии старой угрозы в отчёте.

@tomhunter

#news Инфобез уровня Mercedes-Benz: сотрудник компании оставил в публичном репозитории личный ключ разработчика. Где он и пролежал на протяжение четырёх месяцев, открывая доступ ко всей внутренней кухне автогиганта.

Токен случайно обнаружили безопасники из RedHunt Labs во время рутинного мониторинга. Ключ давал доступ к закрытым репозиториям компании с внутренними архивами, чертежами, дизайн-документами, API и прочим-прочим. Включая ключи к репам с исходниками, вёдрам Azure и AWS и базе Postgres. В общем, полный набор. Пока неясно, получал ли кто-либо доступ ко всей этой сокровищнице, открытой с сентября прошлого года. Представители Mercedes-Benz отказываются раскрывать, ведут ли они мониторинг, чтобы отслеживать несанкционированный доступ. Почему? А из соображений… информационной безопасности. Что сказать, вовремя вспомнили.

@tomhunter

#news В основных дистрибутивах Linux обнаружена очередная критическая уязвимость на root-доступ. На этот раз переполнение буфера на основе кучи и локальное повышение привилегий в glibc, CVE-2023-6246.

Баг случайно ввели в версии glibc 2.37 ещё в августе 2022-го, а затем бэкпортировали в 2.36 в процессе исправления другой, менее серьёзной уязвимости. Затронуты Debian 12 и 13, Ubuntu 23.04 и 23.10, Fedora с 37 по 39. При этом исследователи изучили лишь несколько дистрибутивов, и, очевидно, уязвимы ещё многие другие. В общем, очередной пример критической важности инфобеза в разработке ключевых библиотек. Один неловкий бэкпорт, и уязвимы сотни тысяч систем. Подробнее об этой и трёх других уязвимостях, обнаруженных в glibc, в отчёте.

@tomhunter

#news Ещё одна крупная IT-компания ушла из России: чешская Avast закрыла доступ к своим продуктам пользователям из РФ. То есть попросту заблокировала их работу на территории России.

29 января юзеры по всей стране столкнулись с отказом софта на ПК и мобильных устройствах. Ни Avast, ни AVG, включая и бесплатную версию последнего под Андроид, больше не функционируют. Ограничения коснулись и популярной утилиты CCleaner. Сайты компании из РФ теперь тоже недоступны. Служба поддержки Avast же доверительно сообщает, что услуги на территории России и Беларуси больше не предоставляет. Ну а при запуске софта юзера ждёт лишь ехидное окошко «К сожалению, этот продукт не поддерживается в вашем текущем местоположении». В общем, наше положение в пространстве-времени и всё ему сопутствующее чехам не по душе. Желающим продолжать использовать софт придётся подрубать VPN или потанцевать с DNS-бубном.

@tomhunter

#news Рынок криптовалют грозит встряхнуть после изъятия немецкой полицией крупной суммы. И не просто крупной, а рекордной: киберпреступники лишились 50 тысяч биткоинов. А это около $2,1 миллиардов. Причём переданы они были добровольно одним из подозреваемых. Можно представить его боль.

Рекорд поставлен в связи с расследованием против владельцев портала movie2k[.]to. Он был площадкой для распространения пиратского контента и проработал до мая 2013-го. Средства с его работы и рекламы и были переведены в биткоины, которые достались полиции в середине января. Что делать с криптой, они пока не знают. Но с таким солидным капиталом немецкая полиция могла бы стать крупным игроком на рынке накачивания стоимости щиткоинов и озолотиться. Впрочем, вряд ли у них есть такие амбиции с душком анархо-капитализма. А зря. Бундестаг не сможет лишить твой департамент финансирования, если на его счета текут миллиарды в крипте.

@tomhunter

#news Ни месяца без оригинальных ИБ-инициатив, на этот раз от Минфина. Так, банкам предлагают расширить отслеживание геолокации клиентов и следить за ними на постоянной основе. Чтобы выявлять подлецов, пользующихся нашим всем финтехом из-за рубежа. И стучать на тех, кто забыл сообщить о своём налоговом статусе. Заодно расторгнув с ними договор.

Проект, как водится, сырой и в процессе обсуждения. Но в таком виде возможные последствия очаровательны. Забыл отрубить прокси при заходе в банковское приложение — получай письмо счастья из ФНС, решившей, что ты укатил в солнечную Аргентину, как обещал себе в 2022-м. А если сеть корпоративная? Для верности проще будет пробросить VPN до условного Ульяновска. Чтобы бдительный взор Минфин-дура ненароком не спутал тебя с трусливыми, мерзкими релокантсами, пытающимимся отнять его налоговую прелесть.

@tomhunter

7 февраля в 12:00 по Москве пройдёт эфир Код ИБ по теме «Методы слежки за смартфоном». Ведущие и приглашённые эксперты вебинара обсудят как и кто собирает данные с наших устройств, как обнаружить слежку за своим смартфоном и как сделать его использование более безопасным. А также потенциальные источники угрозы от услуг операторов связи до приложений родительского контроля и иных путей сбора информации. От T.Hunter в эфире примет участие руководитель нашего департамента расследований Игорь Бедеров. Зарегистрироваться на вебинар можно по ссылке. Присоединяйтесь, будет интересно!

@tomhunter

#news На хакерском форуме выставили на продажу якобы утечку базы на 50 миллионов клиентов Eurocar — международной компании по прокату автомобилей. Последняя утечку быстро опровергла: данные фейковые, по их базе не бьются, и вообще их написали с помощью ChatGPT. Всё хорошо, утечка и правда липовая. Только с обвинением ИИ-модели в компании поспешили.

Товарищ Трой Хант сообщает, что ChatGPT здесь явно не при делах. Большая часть утечки действительно сгенерирована. Но не супер-продвинутой языковой моделью, а обычным стареньким скриптом вроде Faker на Питоне. Так что злоумышленник либо стянул базу из тестовой среды компании, либо, гораздо более вероятно, скамер просто собрал на коленке топорный фейк. Ну а в пиар-отделе Eurocar работают визионеры, опережающие время: уверенно винить во всём ИИ-модели можно будет ещё только через несколько лет.

@tomhunter

#news Джошуа Шульте, бывший программист ЦРУ, ответственный за нашумевшую утечку Vault 7, получил ожидаемый драконовский срок. Высшую меру ему выбить не смогли, но продавили 40 лет тюрьмы. И добавили пожизненный надзор после выхода в 2060-х.

Vault 7 стала крупнейшей утечкой в истории ЦРУ, слитой на WikiLeaks и раскрывшей немало интересных подробностей о внутренней кухне разведки Штатов. Полной таких деталей, что ненароком помянешь добрым словом одного известного математика польского происхождения. Шульте признали виновным в шпионаже, хакерской деятельности, неуважении к суду и даче ложных показаний. После изъятия его техники на жёстких также обнаружилась тонна ЦП, что добавило весу обвинениям и резко усложнило жизнь Шульте в тюрьме. В общем, незавидный финал.

@tomhunter

#news LockBit пробивает очередное дно: группировка взяла на себя ответственность за атаку на больницу в Чикаго 18 декабря. Больница Святого Антония пострадал от рансомварь-атаки и кражи данных пациентов. Злоумышленники потребовали $850 тысяч выкупа. Больница же некоммерческая, так что сумма для неё, очевидно, неподъёмная. Сегодня для выкупа крайний срок.

Что занятно, год назад LockBit была в похожей ситуации — один из партнёров группировки атаковал детскую больницу в Торонто. Вплоть до того, что атака тоже была 18 декабря. Тогда группировка извинилась, выслала декриптор, а провинившегося партнёра, как утверждали, выпнула. Видимо, с тех пор ограничения по атакам у рансомварщиков стали менее жёсткими, и кокетничать, изображая подобие моральных принципов, они перестали.

@tomhunter

#news Производитель софта для удалённого доступа AnyDesk подвергся серьёзному взлому. Атака произошла в конце января. Злоумышленники получили доступ к исходникам и частным ключам подписи кода. Подробностями атаки AnyDesk не делится — известно, что это была не рансомварь, но по итогам взлома компания отозвала сертификаты безопасности и пароли к своему сайту. А также аннулирует скомпрометированный сертификат подписи кода.

Личные ключи, токены и пароли в их системах не хранятся, так что, как доверительно сообщает AnyDesk, для пользователей угрозы нет. Тем не менее, всем рекомендовано сменить пароли, особенно если они где-то повторно используются, и скачать свежую версию софта с новым сертификатом. Между тем на Exploit[.]in на продажу выставили данные доступа ~18,000 клиентов компании — видимо, в преддверии возможного сброса паролей. В общем, у AnyDesk всё под контролем. Кто-то, конечно, поковырялся в их прод-системах. Но это так, дело житейское.

@tomhunter

#cve Опубликовали на Хабре подборку самых интересных уязвимостей января. Первый месяц года выдался богатым на любопытные CVE. Так, шуму наделала критическая уязвимость в Jenkins, к которой быстро опубликовали ворох эксплойтов. Также засветились CVE на GitLab на запись произвольных файлов и RCE в продуктах Cisco с потенциальным root-доступом. Критическими уязвимостями отметился GitHub Enterprise Server, и, конечно же, не обошлось без экстренного исправления россыпи багов в Google Chrome. Об этом и других интересных CVE января читайте на нашем Хабре!

@tomhunter

#news Мошенничество с помощью дипфейков выходит на качественно новый уровень. Международная компания в Гонконге лишилась 25,6 миллионов долларов. Сотруднику её финотдела прислали фишинговое письмо с запросом транзакций и для убедительности пригласили на созвон с финансовым директором, коллегами и иными лицами. Следуя указаниям, он перевёл деньги на разные счета. Вот только все участники видеозвонка были дипфейками.

Случай примечателен солидной украденной суммой и целой подставной группой цифровых лиц и синтезированных голосов. Энтузиасты уже придумывают способы проверки реальности собеседника на видеозвонке, особенно если он просит в долг сотку [миллионов гонконгских долларов]. А вообще, у этих дипфейк-пионеров общества нулевого доверия, предсказанного футуристами, есть чему поучиться. Можно ведь и самому натаскать дипфейк на созвоны за себя ходить. Пусть отдувается.

@tomhunter

#news Глава «Лиги безопасного интернета» Екатерина Мизулина объявила о блокировке крупных VPN-сервисов в России с 1 марта. Всего лишь отсылочка к подписанному в Роскомнадзоре в прошлом году приказу о блокировке сервисов с 1 марта 2024 года. Но напоминание полезное.

Как ожидается, под блокировку попадут крупные сервисы, рассчитанные на большое количество пользователей. Насколько солидный кусок рунета приляжет вместе с ними, пока оставшееся лихорадит, не сообщается. Так что ставки делайте сами. VPN-сервисы же, особенно бесплатные, как доверительно сообщила впечатлительным школьникам госпожа Мизулина, «Это вообще портал в ад!» Данные выкачивают с устройств бесконечно, все дела. В общем, спешите пробросить свои прокси куда следует, пока портал в ад не заколотили. Если всё пойдёт кувырком, и мы окажемся там... встретимся в баре.

@tomhunter

#news Занятные новости из США. Вслед за продажными женщинами с Онлифанса ограничения на получение виз коснётся ещё одной группы лиц с сомнительными моральными ориентирами. Пользователей коммерческого шпионского ПО. Злоупотребляющим спайварью теперь могут закрыть въезд в Штаты.

Инициатива идёт по следам санкций от июля 2023-го по компаниям, занимающимся разработкой спайвари. Включая пресловутую NSO Group. Так что любители заслать Pegasus журналистам, активистам, политическим оппонентам и прочим занозам в пятке каждого порядочного каудильо рискуют на землю свободных больше не попасть. Правительству США также выдан запрет на использование коммерческой спайвари, которая представляет угрозу национальным интересам. Иными словами, доверять её операторам по очевидным причинам не спешат — прецедентов достаточно. Да и у ЦРУ хватает собственных разработок, в конце-то концов.

@tomhunter

#news Ни дня без новых испытаний для кибербезопасности: мошенники приспособили ИИ-модели для генерации липовых ID и обхода KYC-требований криптобирж. Всего за 15 баксов можно обзавестись цифровым документом, открыть счёт, разбанить аккаунт или приоткрыть калитку в чудный мир отмывания крипты, усиленно заколачиваемую министерствами финансов.

Сервис с говорящим названием OnlyFake даёт возможность сгенерировать поддельные документы из 26 стран мира. Подделку не замечали и такие криптогиганты как Binance, Kraken, Bybit, Huobi и Coinbase. С одной стороны, заманчивая не только для киберпреступника, но и для простого честного шифропанка идея. С другой, предсказать, где и когда аукнется такая попытка скрыть свою идентичность фальшивыми документами, довольно непросто. Так что это только для отчаянных и шальных, не боящихся нечаянно оказаться в одном клубе цифровых парий вместе с северокорейскими криптостахановцами и прочими любителями скрыться за семью прокси.

@tomhunter

#news Несмотря на стремление США поддерживать госмонополию на спайварь, её коммерческий сектор живёт и здравствует. И разросся до $12 миллиардов годовых. Помимо небезызвестных разработчиков Pegasus и Predator Гугл отслеживает ещё около 40 компаний, зарабатывающих на спайвари. И запрос на слежку они обслуживают более чем успешно.

Так, за 2023-й год из 25 активно эксплуатируемых нулевых дней 20 были в ходу у создателей шпионского ПО. Рынок спайвари активно растёт, а примеров её законного использования всё как-то не встречается — сплошь пограничные случаи слежки за журналистами и политическими оппонентами. Как нет и ни намёка на прозрачность по очевидным причинам, что рискует со временем стать ещё большей головной болью для всей ИБ-индустрии и не только. Подробнее о спайвари, её разработчиках и недавней активности в 50-страничном отчёте от Google TAG.

@tomhunter

#digest Опубликовали на Хабре наш первый в этом году ежемесячный дайджест. Январь выдался богатым на интересные инфобез-новости. Так, появилась информация о возвращении ZLoader — стоявшие за малварью злоумышленники пустили в ход новую версию. Исследователи связали свежую рансомварь 3AM с выходцами из Conti, и пока последние продолжают киберпреступную деятельность, разработчик TrickBot был приговорён в США. А чешская Avast ушла из России, закрыв доступ к своим продуктам. Об этом и других громких ИБ-новостях первого месяца года читайте на нашем Хабре!

@tomhunter

#news Вчерашние весёлые новости про атаку зубных щёток ожидаемо оказались преувеличенными. А точнее говоря, попросту вымышленными: историю разогнали журналисты на пару с инфобез-фирмой Fortinet, со ссылкой на интервью которой новость разнесли по индустрии.

Как запоздало сообщила журналистам Fortinet, сценарий со щётками, описанный в оригинальной новости, был гипотетическим, а не относился к реальной атаке. Якобы их не так поняли. Почему запоздало? Комментариев по сенсационной истории в Fortinet давать не спешили, опровержений не публиковали и, видимо, просто тихонько хихикали в кулачок, пока на фоне шумихи их акции за день подросли на 15 процентов. Увы, дивный новый IoT-мир Mirai-ботнетов на щётках и обученных SQL-инъекциям ирригаторов пока ещё не наступил. Тем не менее, 9 из 10 дантистов по-прежнему рекомендуют не ставить малварь на свои зубные щётки.

@tomhunter

#news В Штатах судят безопасника и его сообщника, обвиняемых во взломе неназванной компании и мошенничестве. Судя по всему, это Apple. Злоумышленники якобы получили в 2018-м доступ к аккаунту сотрудника компании, проникли в backend-системы и манипулировали заказами техники и их стоимостью через яблочный Toolbox, что привело к ущербу на $2,5 миллиона.

Но самая мякотка в том, что этот безопасник неоднократно сообщал Apple об уязвимостях. Обвиняемый Ноа Роскин-Фрази упомянут в списке изменений Apple от 22 января — компания благодарит его за помощь всего пару недель после ареста. В общем, от эксплойта уязвимостей до их репорта и посадки напополам с признанием и благодарностями. Такая вот дуальность Ноа Роскина-Фрази.

@tomhunter